Web3Auth zegt dat het ongeveer $5,6 miljoen aan gebruikersmiddelen uit Keplr-portemonnees heeft verplaatst vóórdat aanvallers deze konden leeghalen, en stelt dat het een blootstelling in de door hen ondersteunde sleutelinfrastructuur voor portemonnees heeft geïdentificeerd en proactief heeft gehandeld om gebruikersmiddelen te beschermen. De account van het bedrijf is niet onafhankelijk geverifieerd, en er is op moment van schrijven geen technische post-mortem of on-chain bevestiging gepubliceerd.

Wat Web3Auth zegt dat er is gebeurd

Volgens berichtgeving van The Block identificeerde Web3Auth een kwetsbaarheid die Keplr-portemonnees trof die afhankelijk waren van de sleutelinfrastructuur, en verplaatste het vervolgens ongeveer $5,6 miljoen aan gebruikersmiddelen voordat een aanvaller kon handelen. Het bedrijf karakteriseerde de operatie als het front-runnen van een mogelijke exploit — een term ontleend aan MEV-mechanismen (maximal extractable value) die inhoudt dat men een tegenstander voor moet zijn bij het eerst uitvoeren van een transactie. In deze context geeft de term aan dat Web3Auth zijn transfers uitvoerde vóór eventuele adversariële transacties, in plaats van te proberen gestolen fondsen terug te vorderen.

Web3Auth, voorheen bekend als Torus, levert social-login- en sleutelbeheerinfrastructuur die door een reeks Web3-applicaties wordt gebruikt; de officiële website is web3auth.io. Keplr is een browserextensie-portemonnee, ontwikkeld door Chainapsis, die voornamelijk wordt gebruikt om te interageren met chains in het Cosmos-ecosysteem, waaronder de Cosmos Hub en andere op Cosmos SDK gebaseerde netwerken. De rel tussen de twee producten betekent dat een fout in sleutelderivatie of custodianship aan de kant van Web3Auth gevolgen kan hebben voor Keplr-gebruikers die via social login inlogden in plaats van via zelfbeheerde seed phrases.

De gemelde actie, zoals door het bedrijf beschreven

De claim van Web3Auth is dat het een beschermende sweep uitvoerde, waarbij de volledige $5,6 miljoen over de getroffen portemonnees werd verplaatst om verlies te voorkomen. Het aantal betrokken portemonnees, de specifiek getroffen chains, de bestemmingsadressen van de verplaatste fondsen, of gebruikers vooraf zijn geïnformeerd, en de timing van de sweep ten opzichte van eventuele activiteit van aanvallers worden in de beschikbare berichtgeving niet bevestigd.

Er is geen block explorer-data gekoppeld die de omvang van de transfer of de bestemming onderbouwt. Zonder transactie-hashes of portemonnee-adressen is onafhankelijke verificatie van het bedrag van $5,6 miljoen en de huidige locatie van de fondsen niet mogelijk op basis van openbare berichtgeving alleen.

Waarom een proactieve fondsverplaatsing een wezenlijk risico-event is

Wanneer een portemonnee-aanbieder gebruikersmiddelen verplaatst zonder door gebruikers geïnitieerde transacties, roept dat directe vragen op over het gehanteerde custodial-model. Als Web3Auth privésleutels eenzijdig beving of kon reconstrueren, dan is dat per ontwerp zo voor social-login-portemonnee-architecturen, maar het betekent ook dat de aanbieder signeringsautoriteit heeft die gebruikers mogelijk niet volledig begrepen hebben dat ze verleenden. Dergelijke architecturen, die doorgaans worden gebouwd met multi-party computation (MPC) om sleutelmateriaal op te splitsen in shares die door afzonderlijke partijen worden bewaard, zijn ontworpen zodat geen enkele partij — noch de gebruiker, noch de aanbieder — de volledige privésleutel in bezit heeft; het praktische custodianship hangt daarom af van hoe sleutel-shares worden verdeeld en gereconstrueerd.

De DeFi-stack maakt steeds meer gebruik van abstractielagen voor portemonnees, social recovery en sleutelbeheerdiensten om de instapdrempel te verlagen. Die ontwerpafwegingen zijn legitiem, maar incidenten als dit verduidelijken het werkelijke vertrouwensoppervlak: gebruikers van non-custodial portemonnees die afhankelijk zijn van sleutelinfrastructuur van derden zijn blootgesteld aan de securityhouding en operationele beslissingen van die aanb op manieren die verschillen van puur zelf-custody, waarbij een enkele seed phrase uitsluitend onder controle van de houder blijft. Die afweging is niet theoretisch: infrastructuurfouten op portemonnee-niveau hebben precedenten in de sector, waaronder de inbreuk op de Slope-portemonnee in 2022, waarbij de seed phrases van gebruikers werden vastgelegd door een gecentraliseerde loggingservice, en de compromittering in 2023 van de Connect Kit JavaScript-bibliotheek van Ledger, die schadelijke code serveerde aan portemonnees die met getroffen frontends interacteerden.

Gemelde blootstelling versus bevestigd verlies

De framing van Web3Auth impliceert dat de fondsen risico liepen maar niet verloren zijn. Dat onderscheid is belangrijk voor het beoordelen van protocolrisico. Als het bedrijf met succes een aanvaller front-ran en alle $5,6 miljoen door gebruikers terugvorderbaar blijft, vertegenwoordigt het incident een near-miss in plaats van een gerealiseerde exploit.

Op dit moment heeft geen onafhankelijke bron een van beide uitkomsten bevestigd. De account komt van één partij: de infrastructuuraanbieder wiens sleutelbeheer betrokken was. Gebruikersrapporten, de eigen openbaarmaking van Keplr, of on-chain data die overeenkomt met de beschreven transfers zouden elk sterkere bewijs leveren voor een van beide scenario's.

Wat nog bevestigd moet worden

Verschillende feiten die de account van Web3Auth zouden onderbouwen, ontbreken in de huidige berichtgeving. Elk ervan vertegenwoordigt een openstaande vraag die lezers kunnen volgen naarmate het incident zich ontwikkelt.

• Openbaarmaking van de oorzaak. Wat was de aard van de blootstelling — een gelekte sleutel, een gecompromitteerde signeringsdienst, of een logicafout in sleutelderivatie? Zonder dit kan de omvang van de portemonnees die risico lopen niet worden beoordeeld.
• Aantal getroffen portemonnees. Hoeveel Keplr-portemonnees waren blootgesteld? Het bedrag van $5,6 miljoen impliceert een specifieke set portemonnees, maar er is geen aantal gemeld.
• On-chain transactiedata. Block explorer-items met het transfervolume, bronportemonnees, bestemmingsadressen en tijdstempels zonden onafhankelijke verificatie van zowel het bedrag als de tijdlijn ten opzichte van eventuele activiteit van aanvallers mogelijk maken.
• Status van terugvoering van fondsen. Waar bevinden de verplaatste fondsen zich nu — teruggegeven aan gebruikers, bewaard in een multisig, of geplaatst in een recovery-contract? De beschermende intentie van de sweep is slechts volledig geloofwaardig als de terugvoering gedocumenteerd is.
• Onafhankelijke verklaring van Keplr. Als de portemonnee-interface die getroffen gebruikersten, zou de eigen openbaarmaking van Keplr aanzienlijk gewicht toevoegen aan het verhaal rond het incident. Er is geen afzonderlijke verklaring van Keplr bevestigd in beschikbare bronnen.

Het ontbreken van deze details betekent niet dat de account van Web3Auth onwaar is, maar het betekent wel dat het incident momenteel een enkele claim is van de partij met de grootste prikkel om de uitkomst als beschermend succes te framen. Protocolrisicobeoordelingen voor applicaties gebouwd op de sleutelinfrastructuur van Web3Auth moeten dit behandelen als een openstaand beveiligingsincident totdat een volledige post-mortem wordt gepubliceerd.

Voor gebruikers wiens portemonnees mogelijk getroffen zijn, is de meest directe actie het verifiëren van fondssaldi via Cosmos chain explorers en het monitoren van officiële communicaties van zowel Web3Auth als Keplr. Portemonneezekerheid in social-login-architecturen hangt af van de transparantie en de kwaliteit van incidentrespons van de onderliggende sleutelbeheerlaag, en dit incident zal dienen als een datapunt in die voortdurende evaluatie.

Bron: DefiLiban — Web3Auth Says It Moved $5.6M From Exposed Keplr Wallets